בקצרה: 11,334 פגיעויות חדשות התגלו בוורדפרס ב‑2025, והזמן החציוני מפרסום פגיעות ועד ניצול בשטח עומד על 5 שעות בלבד. במאמר: ציר הזמן של פריצה טיפוסית, למה WAF גנרי אינו מספיק, ומה באמת עובד.
וורדפרס מריצה חלק ניכר מהרשת, ולכן היא היעד המרכזי של תקיפות אוטומטיות. כדי להבין מדוע התפיסה "האתר שלי קטן, למי אכפת ממני" היא אשליה מסוכנת, יש להבין כיצד פריצה טיפוסית פועלת בפועל. הנתונים במאמר לקוחים מדוח State of WordPress Security 2026 של Patchstack, המנטרת ניסיונות תקיפה בזמן אמת על רשת רחבה של אתרים.
הנתונים המרכזיים
| נתון | משמעות |
|---|---|
| 11,334 | פגיעויות חדשות התגלו באקוסיסטם וורדפרס ב‑2025 |
| 91% | מהפגיעויות נמצאו בתוספים (2 בלבד בליבת וורדפרס) |
| 5 שעות | הזמן החציוני מפרסום פגיעות ועד ניצול ראשון בשטח |
| 46% | מהפגיעויות פורסמו לפני שהיה תיקון רשמי זמין |
ציר הזמן של פריצה טיפוסית
התיאור הבא הוא דפוס כללי שחוזר על עצמו באלפי אירועים, ואינו הוראות הפעלה:
שעה 0: מתפרסמת פגיעות בתוסף פופולרי. מאותו רגע מתחיל מרוץ בין בעלי האתרים לבין סורקים אוטומטיים.
שעות ספורות לאחר מכן: לפי Patchstack, 20% מהפגיעויות המנוצלות בכבדות הותקפו בתוך 6 שעות מהפרסום, ו‑45% בתוך 24 שעות. בוטים סורקים את הרשת ומאתרים אתרים המריצים את הגרסה הפגיעה.
ההשתלטות: התוקף מנצל את הפרצה כדי להשיג דריסת רגל באתר: קובץ זדוני, משתמש מנהל חדש או שינוי בקבצי המערכת.
המונטיזציה: מכאן מדובר בעסק לכל דבר: הזרקת ספאם SEO ודפי פישינג, הפניית גולשים לאתרים זדוניים, כריית מטבעות על חשבון השרת, ובחנויות מקוונות גם שתילת סקימר לגניבת כרטיסי אשראי בדף התשלום (דפוס Magecart, שסקרנו בהרחבה במאמר "הגנב שממתין בדף התשלום").
הגילוי: ברוב המקרים הוא מגיע מאוחר מדי: גוגל מסמנת את האתר, לקוח מתלונן או שחברת האשראי מתקשרת.
המספר שצריך להטריד אתכם: אם הזמן החציוני לניצול הוא 5 שעות, ואתם מעדכנים תוספים "פעם בשבוע כשיש זמן", אתם חשופים ברוב הזמן. Patchstack מנסחת זאת במפורש: עדכוני תוספים הם קו הגנה שני, לא ראשון, מפני שהתוקפים מהירים מכם.
למה WAF גנרי אינו מספיק
בשני מחקרי חדירה שערכה Patchstack ב‑2025 על הגנות נפוצות בחברות אחסון (חומות אש פנימיות, Cloudflare, ModSecurity, Imunify360), ההגנות המסורתיות חסמו רק 12%–26% מניסיונות הניצול האמיתיים. הסיבה המרכזית: 57% מהמתקפות שנחסמו היו מסוג Broken Access Control, כלומר תעבורה שנראית כמו גלישה לגיטימית לחלוטין, ללא דפוסי הזרקה שחוקים גנריים מזהים. הגנה אפקטיבית מחייבת ראות לתוך האפליקציה עצמה: אילו תוספים מותקנים, באיזו גרסה ומי מחובר.
מה עושים נכון
צמצום שטח התקיפה: כל תוסף הוא סיכון. יש למחוק (ולא רק להשבית) תוספים ותבניות שאינם בשימוש.
עדכונים אוטומטיים בשילוב Virtual Patching: שכבת הגנה החוסמת ניצול של פגיעות עוד לפני שיצא תיקון רשמי. שכבה זו קריטית במיוחד לאור העובדה שכמעט מחצית מהפגיעויות מתפרסמות ללא תיקון זמין.
הרשאות מינימום: משתמש "מנהל" אחד בלבד, אימות דו‑שלבי ואיסור על שימוש בסיסמאות שכבר דלפו.
גיבוי שאינו מאוחסן על אותו שרת: גיבוי שהתוקף יכול למחוק אינו גיבוי. הרחבנו על כך במאמר הגיבוי וההתאוששות מאסון.
ניטור אמיתי: שינוי בקבצי ליבה, משתמש מנהל חדש או קפיצה בתעבורה יוצאת הם איתותים שמערכת ניטור (או SOC) צריכים לתפוס בזמן אמת.
קריאה נוספת בבלוג SPD: Magecart וסקימרים בחנויות Magento · פרצת ה‑JCE Editor ומה עשינו בגללה · ריבוי אתרים בחשבון = סיכון אבטחה · מהי מערכת הקוד הפתוח המאובטחת ביותר?
רוצים שנעבור על זה יחד? צוותי SPD זמינים 24/7 ניטור, הגנה ותמיכה על תשתית ישראלית. דברו איתנו: 03‑6221258 · spd.co.il/contact
מקורות: Patchstack — State of WordPress Security in 2026 · The Repository — סיכום הדוח
